Obligaciones Legales
de Cumplimiento
Compartir:
Sociedades Comerciales
Son 7 obligaciones principales:
1. Obligaciones en materia de protección de datos personales
El numeral 2.3 del Capítulo V de la Circular Única de la Superintendencia de Industria y Comercio prevé que las actualizaciones del Registro Nacional de Bases de Datos deben realizarse anualmente entre el 2 de enero y el 31 de marzo de cada año.
Estas actualizaciones buscan que se informe si hubo algún cambio en la base de datos durante el año anterior, por ejemplo, si el número de titulares ha cambiado, si hubo alguna modificación en la razón social del responsable, entre otros.
En todo caso, se debe resaltar que los cambios sustanciales (aquellos relacionados con las finalidades del tratamiento, el encargado, los canales de atención, la clasificación o tipos de datos personales, las medidas de seguridad y las transferencias o transmisiones internacionales) deben ser reportados dentro de los primeros 10 días hábiles de cada mes cuando los mismos se presentan.
Si para el momento de la actualización anual existen cambios sustanciales por registrar los mismos deberán también registrarse en ese momento.
Recordamos además que el registro de nuevas bases de datos ante el Registro Nacional de Bases de Datos debe realizarse dentro de los dos (2) meses siguientes a la creación de la base de datos respectiva.
Así mismo, es necesario que se realice el reporte de reclamos que han presentado los titulares de la información en el semestre anterior; dicho reporte se deberá realizar en el Registro Nacional de Bases de Datos y debe ser complementado semestralmente dentro de los primeros quince (15) días hábiles de febrero y agosto de cada año; en este sentido para el año 2026 el primer reporte de novedades relacionadas con los reclamos (positivos y negativos) de titulares debe realizarse a más tardar el 20 de febrero de 2026 debiendo quedar reportados los reclamos de titulares de datos recibidos en el semestre anterior (julio a diciembre de 2025). Recordamos que el segundo reporte de reclamos de este tipo se debe realizar los primeros quince (15) días hábiles de agosto, y por lo tanto este año se debe realizar a más tardar el 25 de agosto de 2026 (en esta fecha se deberán reportar los reclamos recibidos entre enero y junio de 2026).
Por último, resaltar que únicamente están obligadas a cumplir con la obligación de registro de bases de datos aquellas sociedades cuyos activos sean superiores a 100.000 UVT (para 2026 COP $5.237.400.000). En todo caso, todas las entidades que realicen tratamiento (recolección, uso, almacenamiento, etc.) de datos personales deben cumplir con las demás obligaciones el régimen de protección de datos personales.
2. Implementación de programa de transparencia y ética empresarial (PTEE)
2.1 Las Sociedades vigiladas por la Superintendencia de Sociedades que (i) a 31 de diciembre de 2025 hayan realizado cualquier clase de negocios o transacciones directamente o a través de un tercero, por medio de Sociedades subordinadas o de una sucursal, con personas naturales o jurídicas extranjeras, iguales o superiores a 100 SMLMV (COP $ 350.000); y (ii) a 31 de diciembre de 2025 hayan tenido ingresos totales o tengan activos totales iguales o superiores a 30.000 SMLMV (COP $ 42.705.000.000), deberán implementar un PTEE para identificar y evaluar riesgos de Soborno Transnacional.
2.2 Las Sociedades supervisadaspor la Superintendencia de Sociedades que (i) a 31 de diciembre de 2025, directa o indirectamente (a través de consorcios, uniones temporales o cualquier otra figura permitida por la ley), hayan celebrado contratos con entidades estatales con una cuantía igual o superior a 500 SMLMV (COP $711.750.000); y (ii) a 31 de diciembre de 2025 hubieren obtenido ingresos totales o tengan activos totales iguales o superiores a 30.000 SMLMV (COP $42.705.000.000), deberán implementar un PTEE para identificar y evaluar riesgos de Corrupción.
2.3 Las Sociedades supervisadas por la Superintendencia de Sociedadesque (i) a 31 de diciembre de 2025, directa o indirectamente (a través de consorcios, uniones temporales o cualquier otra figura permitida por la ley), hayan celebrado contratos con Entidades Estatales iguales o superiores a 500 SMLMV (COP $711.750.000); y (ii) que pertenezcan a cualquiera de los sectores que se señalan a continuación, estarán obligadas a identificar y evaluar los Riesgos de Corrupción:
2.3.A Sector Farmacéutico
Que su actividad económica inscrita en el registro mercantil sea la identificada con alguno de los siguientes códigos CIIU: 2011, 2100, 3250 y 4645, y
Que a 31 de diciembre de 2025 haya obtenido ingresos totales iguales o superiores a 3.000 SMLMV (COP $4.270.500.000), o Activos totales iguales o superiores a 5.000 SMLMV (COP $7.117.500.000).
2.3.B Sector de Infraestructura y Construcción
Que su actividad económica inscrita en el registro mercantil sea la identificada con alguno de los siguientes códigos CIIU: 4111,4112,4210,4220 o 4290; y
Que a 31 de diciembre de 2025 haya obtenido ingresos totales iguales o superiores a 3.000 SMLMV (COP $4.270.500.000), o Activos totales iguales o superiores a 5.000 SMLMV (COP $7.117.500.000).
2.3.C Sector manufacturero
Que su actividad económica inscrita en el registro mercantil sea la identificada con alguno de los siguientes códigos CIIU: 1020, 1030, 1040, 1051, 1063, 1071, 1072, 1081, 1082, 1083, 1084, 1089, 1090, 1391, 1399, 1410, 1420, 1430, 1512, 1521, 1522, 1701, 1640, 2013, 2014, 2030, 2219, 2410 y 2651, 2826; y
Que a 31 de diciembre de 2025 haya obtenido ingresos totales iguales o superiores a 3.000 SMLMV (COP $4.270.500.000), o Activos totales iguales o superiores a 5.000 SMLMV (COP $7.117.500.000).
2.3.D Sector minero- energético
Que su actividad económica inscrita en el registro mercantil sea la identificada con alguno de los siguientes códigos CIIU: B05, B07, 4662; y
Que a 31 de diciembre de 2024 haya obtenido ingresos totales iguales o superiores a 3.000 SMLMV (COP $4.270.500.000), o Activos totales iguales o superiores a 5.000 SMLMV (COP $7.117.500.000).
2.3.E Sector tecnologías de información y comunicación
Que su actividad económica inscrita en el registro mercantil sea la identificada con alguno de los siguientes códigos CIIU: 6120, 6130, 6190, 6209; y
Que a 31 de diciembre de 2025 haya obtenido ingresos totales iguales o superiores a 3.000 SMLMV (COP $4.270.500.000), o Activos totales iguales o superiores a 5.000 SMLMV (COP $7.117.500.000).
2.3.F Sector de comercio de vehículos, sus partes, piezas y accesorios
Que su actividad económica inscrita en el registro mercantil sea la identificada con alguno de los siguientes códigos CIIU: 4511, 4512, 4530 y G4541; y
Que a 31 de diciembre de 2025 haya obtenido ingresos totales iguales o superiores a 3.000 SMLMV (COP $4.270.500.000), o Activos totales iguales o superiores a 5.000 SMLMV (COP $7.117.500.000).
2.3.G Sector actividades auxiliares de servicios financieros
Que su actividad económica inscrita en el registro mercantil sea la identificada con el código CIIU: 6619; y
Que a 31 de diciembre de 2025 haya obtenido ingresos totales iguales o superiores a 3.000 SMLMV (COP $4.270.500.000), o Activos totales iguales o superiores a 5.000 SMLMV (COP $7.117.500.000).
Todas las entidades obligadas de acuerdo con lo anterior deberán enviar un oficio a la Superintendencia de Sociedades dentro de los 15 días hábiles siguientes al vencimiento del plazo para la adopción del PTEE, es decir, a más tardar el 23 de junio de 2026, informando acerca de su calidad de sujeto obligado.
3. Presentación del informe 75 – SAGRILAFT y PTEE
Todas las Sociedades que hayan adquirido la condición de obligadas a implementar el PTEE y/o SAGRILAFT a 31 de diciembre de 2025 deben presentar el Informe 75 dentro de los siguientes plazos, basados en los dos (2) últimos dígitos del NIT del Sujeto Obligado:
ÚLTIMOS DOS DÍGITOS DEL NIT SIN DIGITO DE VERIFICACIÓN
| PLAZO MÁXIMO PARA EL ENVÍO DE INFORMACIÓN |
01 – 10 | Décimo primer día hábil del mes de julio |
11 – 20 | Décimo segundo día hábil del mes de julio |
21 – 30 | Décimo tercero día hábil del mes de julio |
31 – 40 | Décimo cuarto día hábil del mes de julio |
41 – 50 | Décimo quinto día hábil del mes de julio |
51 – 60 | Décimo sexto día hábil del mes de julio |
61 – 70 | Décimo séptimo día hábil del mes de julio |
71 – 80 | Décimo octavo día hábil del mes de julio |
81 – 90 | Décimo noveno día hábil del mes de julio |
91 – 00 | Vigésimo día hábil del mes de julio
|
4. Sistema de autocontrol, prevención y gestión de riesgos contra el lavado de activos y financiación del terrorismo y Financiamiento de la Proliferación de Armas de Destrucción Masiva (SAGRILAFT)
Las Empresas vigiladas o controladas por la Superintendencia de Sociedades que a 31 de diciembre de 2025 cumplan con alguno de los siguientes requisitos, deberán implementar un SAGRILAFT a más tardar el 31 de mayo de 2026:
4.1 Cualquier sector económico
Haber obtenido ingresos totales o tenido activos totales iguales o superiores a 40.000 SMLMV (COP $ 56.940.000.000) a 31 de diciembre de 2025.
4.2 Sector de Agentes Inmobiliarios
- Haber obtenido al 31 de diciembre de 2025 ingresos totales iguales o superiores a 30.000 SMLMV (COP $ 42.705.000.000).
- Tener dentro de su objeto social la posibilidad de desarrollar la actividad inmobiliaria (servicios de intermediación en la compra, venta, permuta o arrendamiento de bienes inmuebles)
- Que en 2025 haya desarrollado negocios o transacciones en relación con la actividad inmobiliaria por valor igual o superior a 100 SMLMV (COP $ 142.350.000).
4.3 Sector de comercialización de metales preciosos y piedras preciosas
- Haber obtenido al 31 de diciembre de 2025 ingresos totales iguales o superiores a 30.000 SMLMV (COP $42.705.000.000).
- Que se dediquen habitualmente a la comercialización de metales preciosos y piedras preciosas.
4.4 Sector de servicios jurídicos
- Haber obtenido al 31 de diciembre de 2025 ingresos totales iguales o superiores a 30.000 SMLMV (COP $42.705.000.000).
- Que su actividad económica inscrita en Cámara de Comercio, o la actividad que produzca mayor ingreso, corresponda a la identificada con el código CIIU 6910.
4.5 Sector de servicios contables
- Haber obtenido al 31 de diciembre de 2025 ingresos totales iguales o superiores a 30.000 SMLMV (COP $42.705.000.000).
- Que su actividad económica inscrita en Cámara de Comercio, o la actividad que produzca mayor ingreso, corresponda a la identificada con el código CIIU 6920.
4.6 Sector de construcción de edificios y obras de ingeniería civil
- Haber obtenido al 31 de diciembre de 2025 ingresos totales iguales o superiores a 30.000 SMLMV (COP $42.705.000.000).
- Que su actividad económica inscrita en Cámara de Comercio, o la actividad que produzca mayor ingreso, corresponda a la identificada con los códigos CIUU 4111, 4112, 4210, 4220.
4.7 Servicios de Activos Virtuales
- Haber obtenido al 31 de diciembre de 2025 ingresos totales iguales o superiores a 3.000 SMLMV (COP $4.270.500.000), o tenido activos iguales o superiores a 5.000 SMLMV (COP $7.117.500.000).
- Que realice, a su nombre o en nombre de otra persona natural o jurídica, una o más de las siguientes actividades u operaciones por valor (individual o en conjunto) iguales o superiores a 100 SMLMV (COP $142.350.000):
- Intercambio de activos virtuales y monedas fiat.
- Intercambio de una o más formas de activos virtuales.
- Transferencia de activos virtuales.
- Custodia y administración de activos virtuales o instrumentos que permitan el control sobre activos virtuales.
- Participación y provisión de servicios financieros relacionados con la oferta de un emisor o venta de un activo virtual.
- En general, servicios relacionados con activo virtuales.
4.8 Sectores de supervisión especial o regímenes especiales
Las disposiciones aplicables a los siguientes sectores se encuentran en el Capítulo IX de la Circular Básica Jurídica de la Superintendencia de Sociedades:
- Sociedades administradoras de planes de autofinanciamiento comercial (SAPAC).
- Sociedades operadoras de libranza, vigiladas por la Superintendencia de Sociedades.
- Sociedades que lleven a cabo actividades de mercadeo multinivel.
- Fondos ganaderos.
- Sociedades que realicen actividades de factoring, vigiladas por la Superintendencia de Sociedades.
4.9 Empresas que reciban aportes en activos virtuales
Empresas que a 31 de diciembre de 2025 hubieren recibido uno o varios aportes de activos virtuales, iguales o superiores (individual o en conjunto) a 100 SMLMV (COP $142.350.000).
5. Régimen de medidas mínimas
Las Empresas que a 31 de diciembre de 2025 cumplan con los siguientes criterios, deberán implementar el régimen de medidas mínimas a más tardar el 31 de mayo de 2026:
5.1 Haber obtenido al 31 de diciembre de 2025, ingresos totales iguales o superiores a 3.000 SMLMV (COP $4.270.500.000), o tenido activos iguales o superiores a 5.000 (COP $7.117.500.000).
5.2 Pertenecer a alguno de los siguientes sectores de la economía:
5.2A Sector de agentes inmobiliarios
Que se dediquen habitualmente a la prestación de servicios de intermediación en la compra o venta de bienes inmuebles a favor de sus clientes.
5.2B Sector de comercialización de metales preciosos y piedras preciosas
Que se dediquen habitualmente a la comercialización de metales preciosos y piedras preciosas.
5.2.C Sector de servicios jurídicos
Que su actividad económica inscrita en Cámara de Comercio, o la actividad que produzca mayor ingreso, corresponda a la identificada con el código CIIU 6910.
5.2.D Sector de servicios contables
Que su actividad económica inscrita en Cámara de Comercio, o la actividad que produzca mayor ingreso, corresponda a la identificada con el código CIIU 6920.
6. Presentación de Reporte de Operaciones Sospechosas (ROS) o de usencia de Reporte de Operaciones Sospechosas(AROS)
6.1. ROS: Las entidades obligadas a implementar SAGRILAFT y/o Régimen de Medidas Mínimas, en cuya operación se materialice una Operación Sospechosa, deben presentar ante la UIAF un Reporte Operación Sospechosa, inmediatamente, tras su conocimiento.
6.2. AROS: Las entidades obligadas a implementar SAGRILAFT y/o Régimen de Medidas Mínimas en cuya operación no se haya materializado una Operación Sospechosa, deberá presentar ante la UIAF, un Reporte de Ausencia de Operaciones Sospechosas, dentro de los primero 10 días calendario de los meses de enero, abril, julio y octubre.
7. Presentación y aprobación del informe del Oficial de Cumplimiento o del Responsable
El Oficial de cumplimiento SAGRILAFT o el Responsable del Régimen de Medidas Mínimas, deberá presentar para aprobación de la Junta Directiva, o en su defecto de la Asamblea General de Accionistas, un informe de su gestión durante el año 2025, el cual deberá hacer referencia, como mínimo, a los siguientes aspectos:
7.1 Evaluación y análisis sobre la eficiencia y efectividad del sistema y, de ser el caso, proponer las mejoras respectivas.
7.2 Deben reflejar los resultados de la gestión del oficial de cumplimiento y de la administración de la empresa en el cumplimiento del sistema de prevención implementado.
7.3 Número de operaciones inusuales detectadas.
7.4 Número de reportes de operaciones sospechosas (ROS) enviados a la UIAF.
7.5 Número de reportes de ausencia de operaciones sospechosas (AROS) enviados a la UIAF.
7.6 Denuncias o investigaciones internas.
7.7 Capacitaciones realizadas.
Sucursales de Sociedades Extranjeras
Son 7 obligaciones principales:
1. Obligaciones en materia de protección de datos personales
El numeral 2.3 del Capítulo V de la Circular Única de la Superintendencia de Industria y Comercio prevé que las actualizaciones del Registro Nacional de Bases de Datos deben realizarse anualmente entre el 2 de enero y el 31 de marzo de cada año.
Estas actualizaciones buscan que se informe si hubo algún cambio en la base de datos durante el año anterior, por ejemplo, si el número de titulares ha cambiado, si hubo alguna modificación en la razón social del responsable, entre otros.
En todo caso, se debe resaltar que los cambios sustanciales (aquellos relacionados con las finalidades del tratamiento, el encargado, los canales de atención, la clasificación o tipos de datos personales, las medidas de seguridad y las transferencias o transmisiones internacionales) deben ser reportados dentro de los primeros 10 días hábiles de cada mes cuando los mismos se presentan.
Si para el momento de la actualización anual existen cambios sustanciales por registrar los mismos deberán también registrarse en ese momento.
Recordamos además que el registro de nuevas bases de datos ante el Registro Nacional de Bases de Datos debe realizarse dentro de los dos (2) meses siguientes a la creación de la base de datos respectiva.
Así mismo, es necesario que se realice el reporte de reclamos que han presentado los titulares de la información en el semestre anterior; dicho reporte se deberá realizar en el Registro Nacional de Bases de Datos y debe ser complementado semestralmente dentro de los primeros quince (15) días hábiles de febrero y agosto de cada año; en este sentido para el año 2025 el primer reporte de novedades relacionadas con los reclamos (positivos y negativos) de titulares debe realizarse a más tardar el 21 de febrero de 2025 debiendo quedar reportados los reclamos de titulares de datos recibidos en el semestre anterior (julio a diciembre de 2024). Recordamos que el segundo reporte de reclamos de este tipo se debe realizar los primeros quince (15) días hábiles de agosto, y por lo tanto este año se debe realizar a más tardar el 25 de agosto de 2025 (en esta fecha se deberán reportar los reclamos recibidos entre enero y junio de 2025).
Por último, resaltar que únicamente están obligadas a cumplir con la obligación de registro de bases de datos aquellas sociedades cuyos activos sean superiores a 100.000 UVT (para 2025 COP $4.979.900.000). En todo caso, todas las entidades que realicen tratamiento (recolección, uso, almacenamiento, etc.) de datos personales deben cumplir con las demás obligaciones el régimen de protección de datos personales.
2. Implementación de programa de transparencia y ética empresarial (PTEE)
2.1.Las Sucursales vigiladas por la Superintendencia de Sociedades que (i) a 31 de diciembre de 2024 hayan realizado cualquier clase de negocios o transacciones directamente o a través de un tercero, por medio de Sociedades subordinadas o de una sucursal, con personas naturales o jurídicas extranjeras, iguales o superiores a 100 SMLMV (COP $130.000.000); y (ii) a 31 de diciembre de 2024 hayan tenido ingresos totales o tengan activos totales iguales o superiores a 30.000 SMLMV (COP $39.000.000.000), deberán implementar un PTEE para identificar y evaluar riesgos de Soborno Transnacional.
2.2. Las Sucursales supervisadas por la Superintendencia de Sociedades que (i) a 31 de diciembre de 2024, directa o indirectamente (a través de consorcios, uniones temporales o cualquier otra figura permitida por la ley), hayan celebrado contratos con entidades estatales con una cuantía igual o superior a 500 SMLMV (COP $650.000.000); y (ii) a 31 de diciembre de 2024 hubieren obtenido ingresos totales o tengan activos totales iguales o superiores a 30.000 SMLMV (COP $39.000.000.000), deberán implementar un PTEE para identificar y evaluar riesgos de Corrupción.
2.3. Las Sucursales supervisadas que (i) a 31 de diciembre de 2024, directa o indirectamente (a través de consorcios, uniones temporales o cualquier otra figura permitida por la ley), hayan celebrado contratos con Entidades Estatales iguales o superiores a 500 SMLMV (COP $650.000.000); (ii) que a 31 de diciembre de 2024 haya obtenido ingresos totales iguales o superiores a 3.000 SMLMV (COP $3.900.000.000), o Activos totales iguales o superiores a 5.000 SMLMV (COP $6.500.000.000) y; (iii) que pertenezcan a cualquiera de los sectores que se señalan a continuación, estarán obligadas a identificar y evaluar los Riesgos de Corrupción:
2.3.A. Sector Farmacéutico
Que su actividad económica inscrita en el registro mercantil sea la identificada con alguno de los siguientes códigos CIIU: 2011, 2100, 3250 y 4645.
2.3.B. Sector de Infraestructura y Construcción
Que su actividad económica inscrita en el registro mercantil sea la identificada con alguno de los siguientes códigos CIIU: 4111,4112,4210,4220 o 4290.
2.3.C. Sector manufacturero
Que su actividad económica inscrita en el registro mercantil sea la identificada con alguno de los siguientes códigos CIIU: 1020, 1030, 1040, 1051, 1063, 1071, 1072, 1081, 1082, 1083, 1084, 1089, 1090, 1391, 1399, 1410, 1420, 1430, 1512, 1521, 1522, 1701, 1640, 2013, 2014, 2030, 2219, 2410 y 2651, 2826.
2.3.D. Sector minero- energético
Que su actividad económica inscrita en el registro mercantil sea la identificada con alguno de los siguientes códigos CIIU: B05, B07, 4662.
2.3.E. Sector tecnologías de información y comunicación
Que su actividad económica inscrita en el registro mercantil sea la identificada con alguno de los siguientes códigos CIIU: 6120, 6130, 6190, 6209.
2.3.F. Sector de comercio de vehículos, sus partes, piezas y accesorios
Que su actividad económica inscrita en el registro mercantil sea la identificada con alguno de los siguientes códigos CIIU: 4511, 4512, 4530 y G4541.
2.3.G. Sector actividades auxiliares de servicios financieros
Que su actividad económica inscrita en el registro mercantil sea la identificada con el código CIIU: 6619.
Todas las entidades obligadas de acuerdo con lo anterior deberán enviar un oficio a la Superintendencia de Sociedades dentro de los 15 días hábiles siguientes al vencimiento del plazo para la adopción del PTEE, es decir, a más tardar el 24 de junio de 2024, informando acerca de su calidad de sujeto obligado.
3. Presentación del informe 75 – SAGRILAFT y PTEE
Todas las Sociedades que hayan adquirido la condición de obligadas a implementar el PTEE y/o SAGRILAFT a 31 de diciembre de 2024 deben presentar el Informe 75 dentro de los siguientes plazos, basados en los dos (2) últimos dígitos del NIT del Sujeto Obligado:
ÚLTIMOS DOS DÍGITOS DEL NIT SIN DIGITO DE VERIFICACIÓN | PLAZO MÁXIMO PARA EL ENVÍO DE INFORMACIÓN |
01 – 10 | Décimo primer día hábil del mes de julio |
11 – 20 | Décimo segundo día hábil del mes de julio |
21 – 30 | Décimo tercero día hábil del mes de julio |
31 – 40 | Décimo cuarto día hábil del mes de julio |
41 – 50 | Décimo quinto día hábil del mes de julio |
51 – 60 | Décimo sexto día hábil del mes de julio |
61 – 70 | Décimo séptimo día hábil del mes de julio |
71 – 80 | Décimo octavo día hábil del mes de julio |
81 – 90 | Décimo noveno día hábil del mes de julio |
91 – 00 | Vigésimo día hábil del mes de julio |
4. Sistema de autocontrol, prevención y gestión de riesgos contra el lavado de activos y financiación del terrorismo y Financiamiento de la Proliferación de Armas de Destrucción Masiva (SAGRILAFT)
Las Sucursales vigiladas o controladas por la Superintendencia de Sociedades que a 31 de diciembre de 2024 cumplan con alguno de los siguientes requisitos, deberán implementar un SAGRILAFT a más tardar el 31 de mayo de 2025:
4.1 Cualquier sector económico
Haber obtenido ingresos totales o tenido activos totales iguales o superiores a 40.000 SMLMV (COP $52.000.000.000).
4.2 Sector de Agentes Inmobiliarios
- Haber obtenido al 31 de diciembre de 2024 ingresos totales iguales o superiores a 30.000 SMLMV (COP $39.000.000.000).
- Tener dentro de su objeto social la posibilidad de desarrollar la actividad inmobiliaria (servicios de intermediación en la compra, venta, permuta o arrendamiento de bienes inmuebles); y
- Que en 2024 haya desarrollado negocios o transacciones en relación con la actividad inmobiliaria por valor igual o superior a 100 SMLMV (COP $130.000.000).
4.3 Sector de comercialización de metales preciosos y piedras preciosas
- Haber obtenido al 31 de diciembre de 2024 ingresos totales iguales o superiores a 30.000 SMLMV (COP $39.000.000.000).
- Que se dediquen habitualmente a la comercialización de metales preciosos y piedras preciosas.
4.4 Sector de servicios jurídicos
- Haber obtenido al 31 de diciembre de 2024 ingresos totales iguales o superiores a 30.000 SMLMV (COP $39.000.000.000).
- Que su actividad económica inscrita en Cámara de Comercio, o la actividad que produzca mayor ingreso, corresponda a la identificada con el código CIIU 6910.
4.5 Sector de servicios contables
- Haber obtenido al 31 de diciembre de 2024 ingresos totales iguales o superiores a 30.000 SMLMV (COP $39.000.000.000).
- Que su actividad económica inscrita en Cámara de Comercio, o la actividad que produzca mayor ingreso, corresponda a la identificada con el código CIIU 6920.
4.6 Sector de construcción de edificios y obras de ingeniería civil
- Haber obtenido al 31 de diciembre de 2024 ingresos totales iguales o superiores a 30.000 SMLMV (COP $39.000.000.000).
- Que su actividad económica inscrita en Cámara de Comercio, o la actividad que produzca mayor ingreso, corresponda a la identificada con los códigos CIUU 4111, 4112, 4210, 4220.
4.7 Servicios de Activos Virtuales
- Haber obtenido al 31 de diciembre de 2024 ingresos totales iguales o superiores a 3.000 SMLMV (COP $3.900.000.000), o tenido activos iguales o superiores a 5.000 SMLMV (COP $6.500.000.000).
- Que realice, a su nombre o en nombre de otra persona natural o jurídica, una o más de las siguientes actividades u operaciones por valor (individual o en conjunto) iguales o superiores a 100 SMLMV (COP$130.000.000):
a) Intercambio de activos virtuales y monedas fiat.
b) Intercambio de una o más formas de activos virtuales.
c) Transferencia de activos virtuales.
d) Custodia y administración de activos virtuales o instrumentos que permitan el control sobre activos virtuales.
e) Participación y provisión de servicios financieros relacionados con la oferta de un emisor o venta de un activo virtual.
f) En general, servicios relacionados con activo virtuales.
4.8 Sectores de supervisión especial o regímenes especiales
Las disposiciones aplicables a los siguientes sectores se encuentran en el Capítulo IX de la Circular Básica Jurídica de la Superintendencia de Sucursales:
a) Sociedades administradoras de planes de autofinanciamiento comercial (SAPAC).
b) Sociedades operadoras de libranza, vigiladas por la Superintendencia de Sociedades.
c) Sociedades que lleven a cabo actividades de mercadeo multinivel.
d) Fondos ganaderos.
e) Sociedades que realicen actividades de factoring, vigiladas por la Superintendencia de Sociedades.
Las disposiciones aplicables a estos sectores se encuentran en el Capítulo IX de la Circular Básica Jurídica de la Superintendencia de Sociedades.
4.9 Sucursales que reciban aportes en activos virtuales
Sucursales que a 31 de diciembre de 2024 hubieren recibido uno o varios aportes de activos virtuales, iguales o superiores (individual o en conjunto) a 100 SMLMV (COP $130.000.000).
5. Régimen de medidas mínimas
Las Empresas que a 31 de diciembre de 2024 cumplan con los siguientes criterios, deberán implementar el régimen de medidas mínimas a más tardar el 31 de mayo de 2024:
5.1 Haber obtenido al 31 de diciembre de 2024, ingresos totales iguales o superiores a 3.000 SMLMV (COP $3.900.000.000), o tenido activos iguales o superiores a 5.000 (COP $6.500.000.000).
5.2 Pertenecer a alguno de los siguientes sectores de la economía:
5.2.A Sector de agentes inmobiliarios
Que se dediquen habitualmente a la prestación de servicios de intermediación en la compra o venta de bienes inmuebles a favor de sus clientes.
5.2.B Sector de comercialización de metales preciosos y piedras preciosas
Que se dediquen habitualmente a la comercialización de metales preciosos y piedras preciosas.
5.2.C Sector de servicios jurídicos
Que su actividad económica inscrita en Cámara de Comercio, o la actividad que produzca mayor ingreso, corresponda a la identificada con el código CIIU 6910.
5.2.D Sector de servicios contables
Que su actividad económica inscrita en Cámara de Comercio, o la actividad que produzca mayor ingreso, corresponda a la identificada con el código CIIU 6920.
6. Presentación de Reporte de Operaciones Sospechosas (ROS) o de usencia de Reporte de Operaciones Sospechosas(AROS)
6.1. ROS: Las entidades obligadas a implementar SAGRILAFT y/o Régimen de Medidas Mínimas, en cuya operación se materialice una Operación Sospechosa, deben presentar ante la UIAF un Reporte Operación Sospechosa, inmediatamente, tras su conocimiento.
6.2. AROS: Las entidades obligadas a implementar SAGRILAFT y/o Régimen de Medidas Mínimas en cuya operación no se haya materializado una Operación Sospechosa, deberá presentar ante la UIAF, un Reporte de Ausencia de Operaciones Sospechosas, dentro de los primero 10 días calendario de los meses de enero, abril, julio y octubre.
7. Presentación y aprobación del informe del Oficial de Cumplimiento o del Responsable
El Oficial de cumplimiento SAGRILAFT o el Responsable del Régimen de Medidas Mínimas, deberá presentar para aprobación de la Junta Directiva, o en su defecto de la Asamblea General de Accionistas, un informe de su gestión durante el año 2024, el cual deberá hacer referencia, como mínimo, a los siguientes aspectos:
7.1 Evaluación y análisis sobre la eficiencia y efectividad del sistema y, de ser el caso, proponer las mejoras respectivas.
7.2 Deben reflejar los resultados de la gestión del oficial de cumplimiento y de la administración de la empresa en el cumplimiento del sistema de prevención implementado.
7.3 Número de operaciones inusuales detectadas.
7.4 Número de reportes de operaciones sospechosas (ROS) enviados a la UIAF.
7.5 Número de reportes de ausencia de operaciones sospechosas (AROS) enviados a la UIAF.
7.6 Denuncias o investigaciones internas.
7.7 Capacitaciones realizadas.
Entidades Nacionales sin Ánimo de Lucro
Son 2 obligaciones principales:
1. Obligaciones en materia de protección de datos personales
El numeral 2.3 del Capítulo V de la Circular Única de la Superintendencia de Industria y Comercio prevé que las actualizaciones del Registro Nacional de Bases de Datos deben realizarse anualmente entre el 2 de enero y el 31 de marzo de cada año.
Estas actualizaciones buscan que se informe si hubo algún cambio en la base de datos durante el año anterior, por ejemplo, si el número de titulares ha cambiado, si hubo alguna modificación en la razón social del responsable, entre otros.
En todo caso, se debe resaltar que los cambios sustanciales (aquellos relacionados con las finalidades del tratamiento, el encargado, los canales de atención, la clasificación o tipos de datos personales, las medidas de seguridad y las transferencias o transmisiones internacionales) deben ser reportados dentro de los primeros 10 días hábiles de cada mes cuando los mismos se presentan.
Si para el momento de la actualización anual existen cambios sustanciales por registrar los mismos deberán también registrarse en ese momento.
Recordamos además que el registro de nuevas bases de datos ante el Registro Nacional de Bases de Datos debe realizarse dentro de los dos (2) meses siguientes a la creación de la base de datos respectiva.
Así mismo, es necesario que se realice el reporte de reclamos que han presentado los titulares de la información en el semestre anterior; dicho reporte se deberá realizar en el RNDB y debe ser complementado semestralmente dentro de los primeros quince (15) días hábiles de febrero y agosto de cada año; en este sentido para el año 2026 el primer reporte de novedades relacionadas con los reclamos (positivos y negativos) de titulares debe realizarse a más tardar el 20 de febrero de 2026 debiendo quedar reportados los reclamos de titulares de datos recibidos en el semestre anterior (julio a diciembre de 2025). Recordamos que el segundo reporte de reclamos de este tipo se debe realizar los primeros quince (15) días hábiles de agosto, y por lo tanto este año se debe realizar a más tardar el 25 de agosto de 2026 (en esta fecha se deberán reportar los reclamos recibidos entre enero y junio de 2026).
Por último, resaltar que únicamente están obligadas a cumplir con la obligación de registro de bases de datos aquellas sociedades cuyos activos sean superiores a 100.000 UVT (para 2026 COP $5.237.400.000). En todo caso, todas las entidades que realicen tratamiento (recolección, uso, almacenamiento, etc.) de datos personales deben cumplir con las demás obligaciones el régimen de protección de datos personales.
2. Programas de Transparencia y Ética Empresarial (PTEE)
De conformidad con la Circular 05 de 2025 de la Secretaría Jurídica Distrital, las ESAL que se encuentren bajo la inspección, vigilancia y control de la Alcaldía Mayor de Bogotá D.C., pueden implementar voluntariamente un PTEE. hasta tanto el Departamento Administrativo de la Presidencia de la República “DAPRE” expida los lineamientos correspondientes, en los términos allí previstos.
La implementación y el alcance del PTEE dependerán del nivel de riesgo de la ESAL:
2.1 Clasificación del riesgo
a) Riesgo bajo:ESAL con ingresos ≤ 3.000 SMMLV o activos ≤ 5.000 SMMLV.
b) Riesgo medio: ESAL que cumpla cualquiera de las siguientes condiciones:
- ingresos > 3.000 y ≤ 10.000 SMMLV, o
- activos > 5.000 y ≤ 15.000 SMMLV, o
- realice operaciones internacionales, con sectores de alto riesgo o con entidades estatales, cuya cuantía sea ≤ 1.000 SMMLV.
c) Riesgo alto: ESAL que cumpla cualquiera de las siguientes condiciones:
- ingresos > 10.000 SMMLV, o
- activos > 15.000 SMMLV, o
- realice operaciones internacionales, con sectores de alto riesgo o con entidades estatales, cuya cuantía sea > 1.000 SMMLV o implique vigencias futuras.
2.2 Contenido mínimo del PTEE según el nivel de riesgo.
a). Riesgo bajo y medio: Las ESAL clasificadas en estos niveles deberán adoptar un PTEE que incluya, como mínimo:
- Debida diligencia.
- Declaración de cero tolerancia frente a la corrupción y/o el soborno transnacional (C/ST).
- Designación de un responsable de ética y transparencia (puede ser el representante legal o quien este designe).
- Canal o sistema de denuncias administrado por dicho responsable.
- Divulgación anual del PTEE.
- Adicional para riesgo medio: capacitación anual en ética y prevención del riesgo de C/ST.
b) Riesgo alto: Las ESAL clasificadas como de riesgo alto deberán implementar un PTEE reforzado que incluya, entre otros:
- Debida diligencia intensificada.
- Designación de un Oficial de Cumplimiento independiente.
- Canal de denuncias administrado por el Oficial de Cumplimiento.
- Divulgación del PTEE y capacitaciones al menos dos (2) veces al año.
- Sistemas para la identificación, gestión, detección y reporte del riesgo de C/ST.
- Políticas específicas, según aplique, sobre: contratación estatal, donaciones, financiación de campañas políticas, regalos, viajes, entretenimiento y cabildeo/lobby.
- Código de Ética y protocolo de archivo y conservación documental.
2.3 Plazo para la presentación del PTEE:
Dado que la implementación del PTEE tiene carácter voluntario, no existe actualmente un plazo obligatorio para su adopción por parte de las ESAL. No obstante, las entidades deberán mantenerse atentas a la expedición de los lineamientos que emita el Departamento Administrativo de la Presidencia de la República (DAPRE), los cuales podrían establecer condiciones, contenidos mínimos y/o plazos de implementación de obligatorio cumplimiento.
Entidades Extranjeras sin Ánimo de Lucro
Son 5 obligaciones principales:
1. Obligaciones en materia de protección de datos personales
El numeral 2.3 del Capítulo V de la Circular Única de la Superintendencia de Industria y Comercio, prevé que las actualizaciones del Registro Nacional de Bases de Datos deben realizarse anualmente entre el 2 de enero y el 31 de marzo de cada año.
Estas actualizaciones buscan que se informe si hubo algún cambio en la base de datos durante el año anterior, por ejemplo, si el número de titulares ha cambiado, si hubo alguna modificación en la razón social del responsable, entre otros.
En todo caso, se debe resaltar que los cambios sustanciales (aquellos relacionados con las finalidades del tratamiento, el encargado, los canales de atención, la clasificación o tipos de datos personales, las medidas de seguridad y las transferencias o transmisiones internacionales) deben ser reportados dentro de los primeros 10 días hábiles de cada mes cuando los mismos se presentan.
Si para el momento de la actualización anual existen cambios sustanciales por registrar los mismos deberán también registrarse en ese momento.
Recordamos además que el registro de nuevas bases de datos ante el Registro Nacional de Bases de Datos debe realizarse dentro de los dos (2) meses siguientes a la creación de la base de datos respectiva.
Así mismo, es necesario que se realice el reporte de reclamos que han presentado los titulares de la información en el semestre anterior; dicho reporte se deberá realizar en el Registro Nacional de Bases de Datos y debe ser complementado semestralmente dentro de los primeros quince (15) días hábiles de febrero y agosto de cada año; en este sentido para el año 2026 el primer reporte de novedades relacionadas con los reclamos (positivos y negativos) de titulares debe realizarse a más tardar el 20 de febrero de 2026 debiendo quedar reportados los reclamos de titulares de datos recibidos en el semestre anterior (julio a diciembre de 2025). Recordamos que el segundo reporte de reclamos de este tipo se debe realizar los primeros quince (15) días hábiles de agosto, y por lo tanto este año se debe realizar a más tardar el 25 de agosto de 2026 (en esta fecha se deberán reportar los reclamos recibidos entre enero y junio de 2026).
Por último, resaltar que únicamente están obligadas a cumplir con la obligación de registro de bases de datos aquellas sociedades cuyos activos sean superiores a 100.000 UVT (para 2026 COP $5.237.400.000). En todo caso, todas las entidades que realicen tratamiento (recolección, uso, almacenamiento, etc.) de datos personales deben cumplir con las demás obligaciones el régimen de protección de datos personales.
2. Implementación de programa de transparencia y ética empresarial (PTEE)
Las Entidades Sin Ánimo de Lucro Extranjeras con negocios permanentes en Colombia, bajo la supervisión de la Superintendencia de Sociedades, que, al 31 de diciembre del año inmediatamente anterior, hayan obtenido ingresos iguales o superiores a 9.000 SMMLV, deberán implementar un PTEE enfocado en los riesgos de corrupción y soborno trasnacional, a más tardar el 31 de mayo de 2026.
3. Sistema de autocontrol, prevención y gestión de riesgos contra el lavado de activos y financiación del terrorismo y Financiamiento de la Proliferación de Armas de Destrucción Masiva (SAGRILAFT).
De acuerdo con la Circular Externa 100-300000, la Superintendencia de Sociedades excluyó a las Entidades Sin Ánimo de Lucro Extranjeras con negocios permanentes en Colombia, bajo su supervisión, de la obligación de implementar el SAGRILAFT, al considerarlo desproporcionado en relación con su capacidad operativa y económica.
4. Régimen de Medidas Mínimas
Las Entidades Sin Ánimo de Lucro Extranjeras con negocios permanentes en Colombia, bajo la supervisión de la Superintendencia de Sociedades, que, al 31 de diciembre del año inmediatamente anterior, hayan obtenido ingresos iguales o superiores a 9.000 SMMLV, deberán implementar un Régimen de Medidas Mínimas a más tardar el 31 de mayo de 2026.
5. Presentación de Reporte de Operaciones Sospechosas (ROS) o de usencia de Reporte de Operaciones Sospechosas (AROS)
ROS: Las entidades obligadas a implementar un Régimen de Medidas Mínimas, en cuya operación se materialice una Operación Sospechosa, deberán presentar un Reporte de Operación Sospechosa ante la UIAF inmediatamente después de su conocimiento.
AROS: Las entidades obligadas a implementar un Régimen de Medidas Mínimas, en cuya operación no se haya materializado una Operación Sospechosa, deberán presentar un Reporte de Ausencia de Operaciones Sospechosas ante la UIAF dentro de los primeros 10 días calendario de los meses de enero, abril, julio y octubre.